A Shell megerősíti a Cl0p adatlopási állításának vizsgálatát

Az energiaipari óriáscég, a Shell megerősítette, hogy vizsgál egy potenciális biztonsági incidenst, miután a Cl0p zsarolóvírus-csoport azt állította, hogy körülbelül 89 GB adatot lopott el a vállalattól. Az állítás egy sokkal nagyobb kampány része, amelyben a Cl0p azt mondja, hogy csaknem 50 multinacionális szervezettől szivárogtatott ki adatokat, állítólag beleértve a Philipps-et, a GE Aerospace-et és a Fiservet is, a széles körben használt termékéletciklus-kezelő platform, a PTC Windchill sebezhetőségeinek kihasználásával.

A legtöbb Cl0p-hoz köthető incidenshez hasonlóan itt sincs arra utaló jel, hogy a Shell operatív rendszereit lezárták volna, vagy hogy zsarolóvírusos titkosítást telepítettek volna. Ehelyett a csoport úgy tűnik, hogy a bevett forgatókönyvét követte: csendben hozzáférést szerzett a rendszerekhez, adatokat szivárogtatott ki, majd nyilvánosan fenyegetőzött a technikai zavar helyett. A Shell nem erősítette meg az ellopott adatok terjedelmét vagy hitelességét, és a vizsgálat folyamatban van.

Hogyan működik a Cl0p zsarolási modellje

Ellentétben sok zsarolóvírus-üzemeltetővel, amelyek titkosítják a fájlokat és fizetséget követelnek a visszafejtési kulcsért, a Cl0p egyre inkább a tiszta adatzsarolásra támaszkodik. A csoport strukturált adatbázisokat és titkosítatlan fájlokat szivárogtat ki, gyakran egyedi webes héjakkal, amelyeket egy szoftveres sebezhetőség kihasználása után telepítenek, majd felveszi a kapcsolatot az áldozatokkal (vagy nyilvánosságra hozza a nevüket), és több millió dolláros fizetést követel az ellopott anyag nyilvánosságra hozatalának elmaradásáért.

Ennek a megközelítésnek több előnye is van a támadók számára. Kihagyja a rendszerek titkosításának zajos, zavaró lépését, amely gyorsan felfedheti a biztonsági csapatok előtt a támadást, és azonnali incidenskezelést indíthat. Emellett a nyomást teljes mértékben a hírnév- és szabályozási kockázatra helyezi át: a fenyegetés nem az, hogy „a rendszereid leálltak”, hanem az, hogy „az ügyfél- és partneradataid nyilvánosságra kerülnek, hacsak nem fizetsz”. Ez a különbség számít abból a szempontból, hogy a szervezetek hogyan észlelik, kezelik és jelentik ezeket az incidenseket, mivel előfordulhat, hogy nincs nyilvánvaló működési zavar, amely jelezné, hogy valami baj történt.

Ez a minta nem egyedi a Shell esetében. Hasonló, zsarolásra épülő taktikákat alkalmaztak a Wesco vizsgálatában az ExfilSquad feltörési állítása kapcsán, ahol az elektromos nagykereskedő megerősítette, hogy vizsgálja a rendszerei feltörésének bejelentett állítását, valamint a későbbi beszámolóban, amely szerint az ExfilSquad 2,6 millió CRM-rekordot követelt kifejezetten a Wescótól. A tömeges zsarolási modell nagy méretben is megjelent olyan incidensekben, mint a ShinyHunters vishing-kampánya a Charter Communications ellen, amely körülbelül 40 millió ügyfélrekordot fedett fel. Ezekben az esetekben a közös szál az, hogy egy csoport először állítja a lopást, majd hagyja, hogy az áldozat cég kapkodva ellenőrizzen és reagáljon.

Egy kampány, amely csaknem 50 vállalatot céloz meg

Ami megkülönbözteti a Shell-incidenst egy tipikus egyvállalatos adatszivárgástól, az a szélesebb kampány mérete. A Cl0p állítólag csaknem 50 szervezetet nevezett meg több iparágban, az incidenseket a PTC Windchill szoftver sebezhetőségeinek kihasználásához kötve. Ha ez pontos, az koordinált, sebezhetőségvezérelt átfogó műveletre utal, nem pedig egymáshoz nem kapcsolódó, opportunista támadások sorozatára. Ez a minta összhangban van azzal, ahogyan a Cl0p a múltban működött: azonosítani egy széles körben telepített vállalati szoftverterméket, kihasználni egy hibát, mielőtt a javításokat széles körben alkalmazzák, és minél több ügyféltől adatokat gyűjteni, mielőtt nyilvánosságra hoznák az eredményeket.

A Shell számára az, hogy több tucat másik nagy, jól finanszírozott vállalat mellett nevezték meg, egy tágabb pontot hangsúlyoz: egyetlen szervezet mérete vagy biztonsági költségvetése sem teszi immunissá, ha ellátási lánc vagy harmadik féltől származó szoftveres sebezhetőségről van szó. A vizsgálat még mindig korai szakaszban van, és a Shell még nem erősítette meg, hogy pontosan mihez férhettek hozzá, ha egyáltalán hozzáfértek valamihez.

Mit jelent ez Önnek

Ha Ön a Shell ügyfele, partnere vagy alkalmazottja, még nincs megerősített bizonyíték arra, hogy személyes adatai nyilvánosságra kerültek volna, de érdemes ébernek maradni. Az ehhez hasonló zsarolásos adatszivárgások gyakran üzleti nyilvántartásokat, beszállítói adatokat vagy alkalmazotti információkat érintenek, nem pedig közvetlen fogyasztói fiók hitelesítő adatokat, bár ez a vizsgálatok előrehaladtával változhat. A legbiztonságosabb megközelítés az, ha figyeli a Shell hivatalos közleményeit, és gyanakvással kezeli az erre az incidensre hivatkozó kéretlen e-maileket vagy hívásokat, mivel a feltörésekről szóló híreket gyakran kihasználják adathalászatra.

Tágabb értelemben ez az incidens arra emlékeztet, hogy az adatszivárgások nem mindig úgy néznek ki, mintha egy vállalatot a hagyományos értelemben „feltörtek” volna. Amikor a támadók zsarolásra támaszkodnak a titkosítás helyett, a probléma első nyilvános jele gyakran a bűnözői csoport saját bejelentése, nem pedig az áldozat belső riasztása.

Hasznos tanácsok

Figyelje a Shell hivatalos közleményeit, ne pedig harmadik féltől származó állításokra hagyatkozzon azzal kapcsolatban, hogy milyen adatok érintettek lehetnek. Legyen óvatos azokkal az adathalász kísérletekkel, amelyek erre a feltörésre hivatkoznak, mivel a bűnözők gyakran valós incidensekre építve próbálnak rávenni embereket arra, hogy rosszindulatú linkekre kattintsanak. Ha olyan szoftverekkel dolgozik vagy használ, mint a PTC Windchill, időben ellenőrizze a gyártói javításokat és biztonsági közleményeket, mivel az ehhez hasonló sebezhetőségvezérelt kampányok gyorsan terjednek, amint a részletek nyilvánosságra kerülnek. Végül pedig fontolja meg erős, egyedi jelszavak és figyelőszolgáltatások használatát, ha értesítést kap arról, hogy adatai részei voltak bármely, ehhez a kampányhoz kapcsolódó feltörésnek, mivel a Cl0p múltja azt mutatja, hogy ezeket az állításokat gyakran valódi adatszivárgások követik, ha a váltságdíjat nem fizetik ki.